【代码审计】711cms_V1.0.5前台XSS跨站脚本漏洞分析

 

0x00 环境准备

711CMS官网： https://www.711cms.com/

网站源码版本：711CMS 1.0.5 正式版(发布时间：2018-01-20)

程序源码下载：https://www.711cms.com/versions/711cms_V1.0.5.zip

测试网站首页：

 

0x01 代码分析

1、首先我们来看一下全局防护代码： /system/core/Security.php，代码太长，摘录部分函数，第352-387行中：

1. public function xss_clean($str, $is_image = FALSE)  
2. {  
3.     // Is the string an array?  
4.     if (is_array($str))  
5.     {  
6.         foreach ($str as $key => &$value)  
7.         {  
8.             $str[$key] = $this->xss_clean($value);  
9.         }  
10. 10.   
11. 11.         return $str;  
12. 12.     }  
13. 13.   
14. 14.     // Remove Invisible Characters  
15. 15.     $str = remove_invisible_characters($str);  
16. 16.   
17. 17.     /* 
18. 18.      * URL Decode 
19. 19.      * 
20. 20.      * Just in case stuff like this is submitted: 
21. 21.      * 
22. 22.      * <a href="http://%77%77%77%2E%67%6F%6F%67%6C%65%2E%63%6F%6D">Google</a> 
23. 23.      * 
24. 24.      * Note: Use rawurldecode() so it does not remove plus signs 
25. 25.      */  
26. 26.     if (stripos($str, '%') !== false)  
27. 27.     {  
28. 28.         do  
29. 29.         {  
30. 30.             $oldstr = $str;  
31. 31.             $str = rawurldecode($str);  
32. 32.             $str = preg_replace_callback('#%(?:\s*[0-9a-f]){2,}#i', array($this, '_urldecodespaces'), $str);  
33. 33.         }  
34. 34.         while ($oldstr !== $str);  
35. 35.         unset($oldstr);  
36. 36.     }  

这段函数对XSS攻击进行过滤，比如<script>将被转换为[removed]，接着看：

2、漏洞文件位置：/cms/controllers/Index.php 第77-88行：

1. public function search($keywords='')  
2. {  
3.     $keywords = urldecode($keywords);  
4.     if(!$keywords)  
5.         $keywords = $this->input->get('keywords', true);  
6.     if (!$keywords) {  
7.         redirect('/');  
8.     }  
9.     $this->template->assign('keywords', $keywords);  
10. 10.     $this->template->assign('show_sort_id', 1);  
11. 11.     $this->template->display('search.php');  

12. }  

这段search函数中，对接收到的参数进行url解码，然后带入数据库中执行，keyword在输入输出过程中只有全局防护代码在防护，全局防护代码过滤不严谨，存在被绕过的情况，导致程序在实现上存在反射型XSS跨站脚本漏洞，允许攻击者可在页面中插入恶意js代码，获得用户cookie等信息，导致用户被劫持。

0x02 漏洞利用

1、网站首页搜索框---XSS Payload：

111"onclick="\u0061\u006C\u0065\u0072\u0074(/xss/)

 

0x03 修复建议

1、全局防护是有必要的，但是并不是万能的，过滤能更严谨些；

2、建议对参数做html转义过滤（要过滤的字符包括：单引号、双引号、大于号、小于号，&符号），防止脚本执行。在变量输出时进行HTML ENCODE处理。 PHP应用：可以使用htmlspecialchars对用户参数进行编码 。

安全代码示例：

1. <?php  
2.      $aa=$_GET['dd'];  
3.      echo htmlspecialchars($aa)."123";  
4.  ?>  

 

最后

欢迎关注个人微信公众号：Bypass--，每周原创一篇技术干货。